Вы открываете кошелёк — и видите неизвестный токен или микроскопический перевод в пару копеек. Никаких уведомлений, никаких подписей.

Просто «пыль» в истории транзакций. В криптомире такие действия называют dust-атаками — и их цель вовсе не подарить вам несколько сатоши. Команда cryptium.ru разобралась, как работает эта стратегия, в чём её риски и почему с 2024 года она используется не только для deanonymization, но и для фишинга.

Что такое dust-атака

Dust (пыль) — это микротранзакция, настолько малая, что ею невозможно воспользоваться из-за комиссии. В Bitcoin это может быть 1 сатоши, в Ethereum — дробные доли токена. Dust-атака — это рассылка таких микропереводов на множество адресов без согласия их владельцев.

Казалось бы, безобидная активность. Но именно такие транзакции используются злоумышленниками для:

• отслеживания ончейн-поведения;
• deanonymization-атаки;
• построения поведенческих профилей;
• подбора адресов для целевых фишинговых схем.

Как работает deanonymization через dust

1. Злоумышленник рассылает dust-активность по множеству адресов;
2. Затем он отслеживает, какие из этих адресов участвуют в транзакциях;
3. Если один из адресов впоследствии объединяется с другими в одной транзакции — это позволяет связать их между собой;
4. Используя дополнительные источники (например, onchain-аналитику и открытые биржи), можно попытаться сопоставить адрес с конкретным пользователем.

Такая практика была особенно популярна в Bitcoin-сети до появления Taproot и coinjoin-микшеров, но сегодня активно используется и в Ethereum, Solana, BNB Chain.

Как dust используется в фишинге

Во многих случаях на кошелёк приходят токены с подозрительными названиями — они отображаются как новый актив, хотя вы ничего не покупали. При попытке продать или обменять их (например, через децентрализованную биржу) пользователь может:

• перейти на поддельный интерфейс;
• взаимодействовать с вредоносным смарт-контрактом;
• подписать транзакцию, которая даёт злоумышленнику доступ к другим токенам.

«Любой неожиданный токен — это потенциальная ловушка, а не “подарок”».

Почему такие атаки становятся популярнее

• Низкая стоимость рассылки: отправить 1000 транзакций на доли доллара стало возможно благодаря дешевым Layer 2;
• Автоматизация: многие боты сканируют адреса, получившие airdrop или участвовавшие в DeFi-активности;
• Привязка к адресам с высокой активностью: злоумышленники «проверяют», какие адреса стоит атаковать в будущем.

Кроме того, пыль часто используется как подготовка к масштабным кампаниям по фишингу — через Discord, почту, Telegram.

Как защититься

• Никогда не пытайтесь «удалить» токен, отправив его обратно — это может активировать вредоносный контракт;
• Не пытайтесь продать или обменять неизвестный токен — даже если он отображается в кошельке;
• Отключайте разрешения (approve) для любых подозрительных взаимодействий через Revoke.cash;
• Используйте скрытие токенов в интерфейсе кошелька — например, в MetaMask можно вручную скрыть «подаренные» активы;
• Разделяйте адреса: один для хранения, другой — для активного использования.

Если сомневаетесь в происхождении токена — лучше просто его игнорировать. Сам факт его наличия не даёт злоумышленнику доступа к средствам, но ваши действия после — могут.

Вывод от cryptium.ru: